GOPROXY 可能导致敏感代码泄露，因其默认将私有模块路径（如 git.example.com/internal/lib）明文拼入 HTTP 请求 URL 发送给公共代理，暴露域名、路径及仓库结构；需正确配置 GOPRIVATE=git.example.com/* 等前缀白名单并确保 CI/CD 环境生效。
为什么
GOPROXY
可能导致敏感代码泄露
Go 模块代理（
GOPROXY
）默认会把模块请求转发到公共代理（如
https://proxy.golang.org
），而它不区分模块来源——只要你的
go get
命令中包含私有路径（比如
git.example.com/internal/lib
），Go 工具链就可能尝试向代理发起请求，暴露该域名、路径甚至 Git 仓库结构。这不是代理“偷看”你代码，而是客户端在解析
go.mod
时，把私有模块路径当作模块名直接拼进 HTTP 请求 URL，被中间代理日志捕获。
常见错误现象：
go mod download
失败并返回
404 Not Found
或
410 Gone
，但公司内网审计日志发现对外发起了对
proxy.golang.org
的
GET /git.example.com/internal/lib/@v/list
请求
触发场景：项目依赖了私有 Git 仓库模块，且未正确配置
GOPRIVATE
关键点：
GOPROXY
本身不读取源码，但它会收到来自
go
命令的模块元数据请求，这些请求含路径明文
GOPRIVATE
必须覆盖所有私有模块前缀
GOPRIVATE
是 Go 工具链的“白名单”，告诉它：这些域名/路径下的模块跳过代理，直连 Git。但它不支持通配符递归匹配，必须显式列出或用
*
做一级通配（如
git.example.com/*
），不能写成
git.example.com/**
。
正确写法：
GOPRIVATE=git.example.com/*,github.com/my-org/private-*
（逗号分隔，无空格）
错误写法：
GOPRIVATE=*.example.com
（
*
只匹配一级子域，不匹配路径）、
GOPRIVATE=git.example.com/internal/*
（
go
不识别二级路径通配）
注意大小写：
GOPRIVATE
值中的域名需与
go.mod
中
module
行声明的完全一致（如
module git.EXAMPLE.com/lib
就得写
git.EXAMPLE.com/*
）
生效时机：设置后需运行
go mod tidy
或
go build
才会重新解析依赖策略，旧缓存可能仍走代理
配合
git config
避免凭证泄露
即使设置了
GOPRIVATE
，如果私有 Git 仓库用 HTTPS+账号密码认证，而用户又配置了全局
git credential.helper
，那么
go
在拉取时可能把凭据拼进 URL（如
https://user:pass@git.example.com/repo
），再被代理日志记录。这不是
GOPROXY
的问题，但常被一起触发。
推荐做法：改用 SSH 协议（
git@example.com:org/repo.git
），或用
git config --global url."ssh://git@git.example.com/".insteadOf "https://git.example.com/"
检查当前行为：
go list -m all 2>/dev/null | grep 'git.example.com'
看模块是否解析为 HTTPS URL
临时验证：设
GOPROXY=direct
+
GOPRIVATE=*
，再跑
go mod download
，观察是否仍有外网请求（用
tcpdump
或公司出口网关日志确认）
CI/CD 环境里最容易漏掉
GOPRIVATE
本地开发可能靠 IDE 或 shell profile 设置了
GOPRIVATE
，但 CI 流水线用的是干净容器镜像，环境变量为空，
go
默认仍会把私有路径发给
proxy.golang.org
。更隐蔽的是：某些 CI 平台（如 GitHub Actions）的
setup-go
Action 会自动注入
GOPROXY
，却不会碰
GOPRIVATE
。
go语言参考手册 中文CHM版
Go 是一个开源的编程语言，它能让构造简单、可靠且高效的软件变得容易。本文给大家带来Go参考手册，需要的可以来下载！ Go是从2007年末由Robert Griesemer, Rob Pike, Ken Thompson主持开发，后来还加入了Ian Lance Taylor, Russ Cox等人，并最终于2009年11月开源，在2012年早些时候发布了Go 1稳定版本。现在Go的开发已经是完全开放的，并且拥有一个活跃的社区。 Go 语言特色 简洁、快速、安全 并行、有趣、开源 内存管理、v数组安全、编译
下载
立即学习
“
go语言免费学习笔记（深入）
”；
必须显式注入：
env: { GOPRIVATE: 'git.example.com/*' }
（GitHub Actions）、
environment.GOPRIVATE
（GitLab CI）
不要依赖
.gitconfig
：CI 容器里
git config --global url...
不影响 Go 模块解析逻辑
验证方式：在 CI 脚本开头加
echo "GOPRIVATE=$GOPRIVATE"
和
go env GOPRIVATE
，确保值存在且非空
真正难排查的是混合代理场景：比如
GOPROXY=https://goproxy.cn,direct
，其中
goproxy.cn
是国内镜像，但它同样会收到私有路径请求——很多人以为换国内代理就安全了，其实只要没设
GOPRIVATE
，风险照旧。
